用途：在 Claude Code 会话中安全管理环境变量与密钥（API Key、凭证、敏感配置），确保密钥不进入终端输出、Claude 输入输出上下文、日志、Git 提交或错误信息。
主要能力：安装 Varlock CLI 后用 varlock init 由现有 .env 生成 .env.schema，在 schema 中为变量声明类型（string、string(startsWith=)、string(contains=)、url、port、boolean、enum）、必填与敏感性注解（@sensitive、@sensitive=false、@defaultSensitive=true、@required）。varlock load 校验并掩码展示值，varlock load --quiet 静默校验，varlock run -- <cmd> 将校验后的变量注入命令供其使用而不打印。支持从 1Password（op read）、AWS Secrets Manager 等外部来源取值，以及按环境选择值。
必要用法：安装执行 curl -sSfL https://varlock.dev/install.sh | sh -s -- --force-no-brew，并 export PATH="$HOME/.varlock/bin:$PATH"。校验用 varlock load。严禁 echo $SECRET、cat .env、printenv 或在命令中硬编码密钥；需查看变量时读 .env.schema（不含值）。密钥更新应手动在 .env 或密钥管理器中完成，再由 Claude 执行 varlock load 校验。
适用场景：本地开发、CI/CD（GitHub Actions）、Docker 容器启动、npm scripts 预启动校验，以及与其他技能配合。
限制：资料未提供价格、收费、平台支持范围或性能数据；密钥轮换、外部密钥源集成与 GitHub Secrets 同步脚本需用户自行准备。